HTTPS会话cookie，并张贴安全使用PHP

我使用的PHP HTTPS和有几个安全问题：HTTPS会话cookie，并张贴安全使用PHP

+我看到这个链接：

这是否意味着，即使安全标志是用cookie设置的，它只允许客户端将它传递给https地址？如果cookie包含session_id，我应该在从服务器发送之前对其进行加密，然后在接收时解密它？

+当我从https页面登录到https地址时，firefox会在POST数据中显示纯文本密码。这是安全风险吗？我也可以在没有安全风险的情况下将表单放在常规的http页面上吗？

更新：我想要做的是防止会话劫持。我应该不是通过http发送任何包含session_ids的cookie吗？这是我正在开发的kohana脚本，它似乎即使未登录也会启动会话。我正在考虑在session_start（）之前检查https。

2011-11-20 steve76

Firefox在帖子数据中显示明文密码的位置在哪里？您是否有扩展程序向您显示已发布的数据？ – Canuteson

php manual states，'secure'指示如果您的操作使用的是https，则只应通过来自客户端 – david

的安全HTTPS连接传输Cookie，然后将其加密发送（如果不是，则清除） – david

只要POST操作提交给HTTPS URL，您就可以安全地从通过HTTP访问的表单提交数据。

将表单放在HTTPS页面上是让用户感觉很好的理由的最佳实践，因为如果显示表单的页面未显示通过HTTPS连接，人们可能会怀疑提交表单中的安全信息。

2011-11-20 17:22:54 Canuteson

这是显示发布数据的httpfox。它与gmail一样，所以我猜这不是问题。谢谢。 – steve76

我所做的是在登录后重新生成session_id，并添加了代码以防止在会话存在时访问非ssl页面。 – steve76

回答